A febbraio, l'austriaco Christian Haschek ha pubblicato un articolo interessante sul suo blog intitolato . Naturalmente, mi sono chiesto cosa succederebbe ripetere questa ricerca, ma già con l'Ucraina. Alcune settimane di raccolta di informazioni 24 ore su 24, un paio di giorni per redigere l'articolo e durante questa ricerca conversazioni con vari rappresentanti della nostra società, per chiarire e approfondire. Vi invito sotto il cat...
TL;DR
Per raccogliere informazioni non sono stati utilizzati strumenti speciali (anche se alcune persone hanno consigliato di utilizzare OpenVAS per rendere la ricerca più completa e informativa). Per quanto riguarda la sicurezza degli IP che appartengono all'Ucraina (di seguito vi spiegherò come sono stati determinati), la situazione, a mio avviso, è piuttosto grave (e sicuramente peggiore rispetto a quanto avviene in Austria). Non sono stati fatti né pianificati tentativi di sfruttare i server vulnerabili scoperti.
Prima di tutto: come si possono ottenere tutti gli indirizzi IP che appartengono a un determinato paese?
In realtà è molto semplice. Gli indirizzi IP non sono generati dal paese stesso, ma assegnati a esso. Pertanto, esiste un elenco (ed è pubblico) di tutti i paesi e di tutti gli IP che ad essi appartengono.
Chiunque può , e poi filtrarlo usando grep Ukraine IP2LOCATION-LITE-DB1.CSV> ukraine.csv
, permette di rendere l'elenco più utilizzabile.
All'Ucraina appartiene quasi lo stesso numero di indirizzi IPv4 che all'Austria, oltre 11 milioni. 11 640 409, per essere precisi (a confronto, in Austria – 11 170 487).
Se non vuoi giocare con gli indirizzi IP da solo (e non dovresti farlo!), puoi utilizzare il servizio .
Ci sono computer Windows non patchati in Ucraina che hanno accesso diretto a Internet?
Certo, nessun ucraino consapevole aprirebbe tale accesso ai propri computer. O sì?
masscan -p445 --rate 300 -iL ukraine.ips -oG ukraine.445.scan && cat ukraine.445.scan | wc -lSono stati trovati 5669 computer Windows con accesso diretto alla rete (in Austria ce ne sono solo 1273, ma anche questi sono molti).
Oops. Ce ne sono tra questi che potrebbero essere attaccati utilizzando exploit ETERNALBLUE, noti fin dal 2017? In Austria non c'era nessuna macchina di questo tipo e speravo che in Ucraina non ne fossero trovate. Purtroppo, inutile sperare. Sono stati trovati 198 indirizzi IP che non hanno chiuso questa «falla».
DNS, DDoS e la profondità del cunicolo del coniglio
Basta parlare di Windows. Diamo un'occhiata ai server DNS che sono open-resolvers e possono essere utilizzati per attacchi DDoS.
Funziona più o meno così. L'attaccante invia una piccola richiesta DNS e il server vulnerabile risponde alla vittima con un pacchetto che è 100 volte più grande. Boom! Le reti aziendali possono crollare abbastanza rapidamente a causa di tale volume di dati, e per l'attacco è necessaria una larghezza di banda che può fornire anche uno smartphone moderno. E tali attacchi erano anche su GitHub.
Vediamo se ci sono server di questo tipo in Ucraina.
masscan -pU 53 -iL ukraine.ips -oG ukraine.53.scan && cat ukraine.53.scan | wc -lCome primo passo identifichiamo quelli che hanno la porta 53 aperta. Come risultato, abbiamo un elenco di 58 730 indirizzi IP, ma questo non significa che possano tutti essere utilizzati per attacchi DDoS. Devono soddisfare un secondo requisito, ossia devono essere open-resolver.
Per questo si può utilizzare un semplice comando dig e vedere cosa possiamo «scoprire» dig + short test.openresolver.com TXT @ip.of.dns.server. Se il server risponde con open-resolver-detected, può essere considerato un potenziale obiettivo per l'attacco. Gli open resolvers rappresentano circa il 25%, il che è comparabile con l'Austria. Dal punto di vista della quantità totale, si tratta di circa lo 0,02% di tutti gli IP ucraini.
Cosa altro si può trovare in Ucraina?
Sono lieto che tu me lo abbia chiesto. Più semplice (e la cosa più interessante per me personalmente) è vedere gli IP con la porta 80 aperta e cosa ci gira sopra.
server web
260 849 IP ucraini rispondono sulla porta 80 (http). 125 444 indirizzi hanno risposto positivamente (stato 200) a una semplice richiesta GET, che può inviare il tuo browser. Gli altri hanno restituito errori vari. È interessante notare che 853 server hanno restituito lo stato 500, mentre gli stati più rari sono stati 407 (richiesta di autorizzazione proxy) e l'inarrestabile 602 (IP non è nella «lista bianca») con una risposta ciascuno.
Apache domina totalmente, con 114 544 server che lo utilizzano. La versione più datata che sono riuscito a trovare in Ucraina – 1.3.29, è stata rilasciata il 29 ottobre 2003 (!!!). Nginx è al secondo posto con 61 659 server.
11 server utilizzano WinCE, rilasciato nel 1996, e smesso di essere patchato nel 2013 (in Austria ce ne sono solo 4).
Il protocollo HTTP/2 è utilizzato da 5 144 server, HTTP/1.1 – 256 836, HTTP/1 – 13 491.
Stampanti… perché… perché no?
2 HP, 5 Epson e 4 Canon, accessibili dalla rete, alcune delle quali senza alcuna autorizzazione.
camere web
Non è una novità che in Ucraina ci siano MOLTE webcam che trasmettono in internet, raccolte su diverse piattaforme. Almeno 75 telecamere trasmettono senza alcuna protezione. È possibile visualizzarle .
E ora?
L'Ucraina è un paese piccolo, come l'Austria, ma ha gli stessi problemi delle grandi nazioni nel settore IT. Dobbiamo sviluppare una migliore comprensione di ciò che è sicuro e ciò che è pericoloso, e i produttori di hardware devono fornire una configurazione iniziale sicura dei loro dispositivi.
Inoltre, sto raccogliendo aziende partner (), che possono aiutarti a garantire l'integrità della tua infrastruttura IT. Il prossimo passo sarà realizzare una panoramica della sicurezza dei siti ucraini. Non cambiare canale!
Fonte: habr.com
